naruszenie ochrony danych osobowych

Dlaczego przetwarzanie danych osobowych w aplikacji TikTok budzi wątpliwości

TikTok stał się jedną z najpopularniejszych platform społecznościowych na świecie. Nie jest więc niczym niezwykłym, że firmy chcą korzystać z tej platformy w celach promocyjnych. Tu jednak należy mieć na względzie, że TikTok jest platformą chińskiego producenta ByteDance, a dane osobowe użytkowników mogą być przekazywane do Chin. To rodzi zaś obawy w kontekście ochrony danych osobowych i cyberbezpieczeństwa.

Obawy dotyczą m.in. legalności transferu danych osobowych do państwa trzeciego jakim są Chiny. Potęguje je fakt, że tamtejsze podmioty z branży technologicznej (m.in. ByteDance) muszą współpracować z organami państwowym, a być może także przekazywać im dane osobowe. Istnieje tym samym ryzyko inwigilacji, w szczególności przez sprawdzanie lokalizacji użytkownika i przechwytywanie danych zapisanych na telefonie.

Z drugiej strony ByteDance nie potwierdza faktu przekazywania danych osobowych chińskim służbom. Z polityki prywatności TikToka wynika, że dane osobowe są przechowywane w USA i w Singapurze. Niemniej jednak działania te nie zostały szerzej opisane, a to tylko potęguje obawy.

Urzędnicy nie powinni korzystać z TikToka

W niektórych państwach zalecono, by TikToka nie instalowały osoby związane z administracją publiczną – zwłaszcza w sferach obronności i bezpieczeństwa narodowego.

Co więcej, takie państwa jak Belgia, Francja, Norwegia czy Dania zabroniły pracownikom administracji instalowania TikToka na urządzeniach wykorzystywanych w celach służbowych. Przy czym ograniczenia w Danii objęły jedynie pracowników resortu obrony.

Blokady TikToka w niektórych krajach

W niektórych państwach doszło natomiast do całkowitego zablokowania TikToka. Przy czym blokada była związana nie tylko z bezpieczeństwem danych, ale też np. z pogorszonymi relacjami z Chinami czy nawet rygorystycznymi zasadami religijnymi. Tak stało się m.in. w Indiach czy Afganistanie.

Dokumenty z numerem PESEL wysłane nieuprawnionej osobie

Aby odpowiedzieć na to pytanie, warto przeanalizować jedną ze spraw, która zakończyła się karą wymierzoną przez Prezesa UODO, ale później uchyloną przez sąd administracyjny. Otóż agent ubezpieczeniowy przesłał dokument z danymi osobowymi klienta omyłkowo na adres e-mail nieuprawnionej osoby. Agent działał w imieniu firmy ubezpieczeniowej, z którą miał zawartą umowę powierzenia przetwarzania danych. W przesłanym omyłkowo dokumencie znalazły się następujące dane osobowe:

• imię i nazwisko;

• numer PESEL oraz

• miejscowość wraz z kodem pocztowym.

Ze złożonych przez administratora wyjaśnień wynikało, że nie zgłosił on naruszenia ochrony danych do Prezesa UODO ani też nie zawiadomił o tym podmiotu danych. Wskazał on także, że otrzymał oświadczenie osoby, której omyłkowo wysłano dane osobowe klienta. W oświadczeniu tym wskazana osoba podała, że wykasowała wiadomość e-mail i już jej nie posiada oraz że nie zapoznała się z jego treścią.

Na tej podstawie firma ubezpieczeniowa zrezygnowała ze zgłaszania naruszenia, twierdząc, że prawdopodobieństwo wystąpienia ryzyka naruszenia praw i wolności podmiotów danych było niskie.

Odmienna ocena Prezesa UODO

Organ nadzorczy nie zgodził się z wyjaśnieniami firmy ubezpieczeniowej. Zarzucił administratorowi niezgłoszenie naruszenia ochrony danych Prezesowi UODO (art. 33 ust. 1 RODO) oraz niepoinformowanie o tym podmiotów danych (art. 34 ust. 1 RODO). Jak wskazał Prezes UODO, nie było pewności, czy rzeczywiście dane osobowe zostały usunięte przez osobę nieuprawnioną, w szczególności czy nie zostały przesłane w postaci kopii do innych nieuprawnionych. Inny słowy, w ocenie administratora oświadczenie odbiorcy korespondencji nie gwarantowało bezpieczeństwa danych. Co więcej nie można było tego oświadczenia faktycznie zweryfikować, a odbiorcy nie można było w tej sytuacji uznać za zaufanego.

Prezes UODO wskazał na następujące zagrożenia:

• ujawnienie danych może ograniczać korzystanie z praw obywatelskich i usług kierowanych do ogółu obywateli (np. głosowania w ramach budżetu obywatelskiego);

• osoby trzecie mogą podjąć próbę zaciągnięcia zobowiązań na poszkodowanego (np. przez Internet lub telefonicznie, bez konieczności okazywania dokumentu tożsamości);

• osoby trzecie mogą chcieć zawrzeć inną umowę cywilnoprawną na szkodę osoby dotkniętej naruszeniem;

• osoby trzecie mogą próbować uzyskać dostęp do systemów obsługujących udzielanie świadczeń medycznych i uzyskać wgląd do danych o stanie zdrowia poszkodowanego.

Ujawnienie numeru PESEL w połączeniu z imieniem i nazwiskiem nieuprawnionej osobie w ocenie Prezesa UODO rodzi maksymalne prawdopodobieństwo identyfikacji, ponieważ PESEL jednoznacznie identyfikuje konkretną osobę.

W efekcie Prezes UODO nałożył na firmę ubezpieczeniową administracyjną karę pieniężną w wysokości 159 176 zł.